(57)【要約】【課題】  システム運用、計算機処理から不正操作、異常処理に繋がる特定イベントを設定し、そのイベントの発生時に、イベントの時系列情報を生成することにより、正確な不正操作、異常処理等を自動的に検出するシステム監査方法を提供する。【解決手段】  システムを構成する計算機で発生した操作情報や処理情報は、イベントとしてイベント送信機能によりシステム監視装置に送信され、システム監視装置内の登録機能によりデータベースに登録される。同時に、監視機能による入力イベントが不正に繋がる特定イベントかを判定し、特定イベントの発生を確認した場合、イベントの内部情報から、発生時前後のイベントについてデータベースを検索し、時系列情報生成機能により時系列データを生成し、予め想定した不正操作、不正処理および異常処理のパターンを有する不正分析機能において時系列情報を照合することにより、不正判断する様にした。【選択図】        図１
2005222216.tif 000002
【特許請求の範囲】
【請求項１】
機密情報、銀行口座情報などの各種情報の漏洩、改ざん、無断引用などに対するシステムの保全またはシステムのデータ保護を行うシステム監査方法において、
上記システムを構成する計算機、またはネットワークで遠隔接続される計算機を用いて上記計算機へのアクセス権を有する操作者が、データのアクセスまたはデータを更新するアプリケーションプログラムの実行、或いはフレキシブルディスクなどの記憶媒体やプリンタなどの外部機器への出力などを実行する場合に、上記各種情報の搾取または上記システムにおけるシステム破壊の恐れのある少なくとも一つの特定のイベント処理に着目し、このイベント処理の前後の時系列情報を用いて、不正な操作或いはプログラムの実行を抽出するシステム監査機能を備えて不正判定する様にしたことを特徴とするシステム監査方法。
【請求項２】
上記操作者の操作履歴、または上記少なくとも一つの特定のイベント処理について逐次発生するイベントを登録する登録手段と、
この登録手段による登録データを管理するデータベース機能を有するデータベースと、
このデータベースに登録されたイベントを検索する検索手段と、
逐次発生したイベントの登録状況から上記少なくとも一つの特定のイベント発生を監査する監査手段と、
上記少なくとも一つの特定のイベントの発生をトリガとして、このイベントに記述されている情報から、発生時前後のイベントについて上記データベースを検索し、時系列情報を生成する時系列情報生成手段と、
予め想定した不正操作、不正処理、および異常処理のパターンと時系列情報を照合することにより不正イベントを判断する不正分析手段と、
を備えたことを特徴とするシステム監査装置。
【請求項３】
請求項１記載のシステム監査方法において、
アクセス権を有しない操作者による上記計算機への操作、またはネットワークで遠隔接続される計算機を介してのシステムへの侵入を上記少なくとも一つの特定のイベントから不正を判定するシステム監査方法。
【請求項４】
請求項１または請求項３に記載のシステム監査方法において、
上記計算機の処理内容を規定した場合に、この規定外の少なくとも一つのイベント、またはそれに関する時系列情報に基づいて不正を判定するシステム監査方法。
【請求項５】
請求項１または請求項３乃至請求項４のいずれか１項に記載のシステム監査方法において、
上記操作者の業務権限以外の操作、または割り当てられている作業量を超える作業量の操作などの上記操作者の操作内容状況から不正を判定するシステム監査方法。
【請求項６】
請求項１または請求項３乃至請求項５のいずれか１項に記載のシステム監査方法において、
上記計算機内にて上記少なくとも一つの特定のイベントが複数回に渡り発生した場合に、前回特定のイベント発生時から当該特定のイベント発生時までの全イベント情報を外部に送信して保持情報を消去する様にしたことを特徴とするシステム監査方法。
【請求項７】
請求項２記載のシステム監査装置において、
上記少なくとも一つの特定のイベントの時系列情報による判定結果から、その操作の危険度を判定し、監査員にこの危険度情報を提示するシステム監査方法、および提示機能を有するシステム監査装置。
【請求項８】
請求項２または請求項７記載のシステム監査装置において、
過去の不正履歴情報を保存し、監査員の操作に応じて警告情報を提示する手段を有するシステム監査装置。
【請求項９】
請求項２または請求項７乃至請求項８のいずれか１項に記載のシステム監査装置において、
分析結果により不正と判断した場合に、この計算機の処理または該当する上記操作者を検索キーとして過去の事例履歴をデータベースから検索することにより、類似した事例履歴を調査し、監査員に調査結果を提示する手段を有するシステム監査装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報の機密性の高いシステムにおける操作員の不正な操作、システムの異常、およびネットワークなど外部からの不正アクセスの検出において、特定のユーザの操作による計算機処理に着目し、その処理の前後の操作から不正な計算機処理を判定するシステム監査方法、およびこの監査方法を用いたシステム監査装置に関するものである。
【背景技術】
【０００２】
近年、コンピュータシステムに対して、不正なアクセスと情報取得、サービスや機能の妨害などのハッキング、クラッキング行為が多くなり、その対策がとられてきた。この対策の一つとして、セキュリティ機能を強化したオペレーティングシステム（以下、ＯＳとも言う）を用いたシステム監査装置の導入が行われてきた。例えば、サン・マイクロシステム社の製品「Trusted  Solaris オペレーティングシステム」では、データへのアクセス制御、操作者の識別機能などによりセキュリティを強化している（例えば、非特許文献１、参照）。
しかし、この製品は、外部からの不正アクセスを防止することを目的に開発されたものであり、アクセス権を有する操作者による不正行為、または、ハッキング等の行為によりセキュリティ機能を掻い潜り、進入してきた不正侵入者の行為を監視する機能は乏しい。
【０００３】
【非特許文献１】“Trusted  Solaris  オペレーティングシステム−概要”、インターネット：ＵＲＬ（http:jp.sun.com/products/software/solaris/trustedsolaris/ds-ts8.html）、P1−P6、2004/01/19。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
以上に示した従来の方法では、アクセス権を有する操作者による不正が発覚した場合、または未然に防ぐためには、監査員がシステムログなどの大量の履歴データ全てから関連する履歴を直接検索し、分析に必要なデータを抽出する必要がある。このことはシステムが大規模になると、収集／分析するデータ量も膨大になり、検索作業量、分析量も同時に大量になり、監査漏れを誘発する可能性が大きいという課題がある。
【０００５】
本発明では、不正操作、異常処理の発見時の監査員の作業負荷の軽減、分析支援を行うことが可能なシステム監査方法およびシステム監査装置を提供することを目的としている。
【課題を解決するための手段】
【０００６】
この発明によるシステム監査方法は、機密情報、銀行口座情報などの各種情報の漏洩、改ざん、無断引用などに対するシステムの保全またはシステムのデータ保護を行うシステム監査方法において、システムを構成する計算機、またはネットワークで遠隔接続される計算機を用いて計算機の操作者が、データのアクセスまたはデータを更新するアプリケーションプログラムの実行、或いはフレキシブルディスクなどの記憶媒体やプリンタなどの外部機器への出力などを実行する場合に、各種情報の搾取またはシステムにおけるシステム破壊の恐れのある少なくとも一つの特定のイベント処理に着目し、このイベント処理の前後の時系列情報を用いて、不正な操作或いはプログラムの実行を抽出するシステム監査機能を備えて不正判定する様にしたものである。
【０００７】
この発明によるシステム監査装置は、操作者の操作履歴、または上記少なくとも一つの特定のイベント処理について逐次発生するイベントを登録する登録手段と、この登録手段による登録データを管理するデータベース機能を有するデータベースと、このデータベースに登録されたイベントを検索する検索手段と、逐次発生したイベントの登録状況から上記少なくとも一つの特定のイベント発生を監査する監査手段と、少なくとも一つの特定のイベントの発生をトリガとして、このイベントに記述されている情報から、発生時前後のイベントについてデータベースを検索し、時系列情報を生成する時系列情報生成手段と、予め想定した不正操作、不正処理、および異常処理のパターンと時系列情報を照合することにより不正イベントを判断する不正分析手段とを備えたものである。
【発明の効果】
【０００８】
この発明により、発生イベントのみに拘わらず、時系列のイベントとして自動的に評価し、監査員に提示することが可能になる。さらに、大量のデータ中にある、個々のイベントだけでは検出しにくい不正に対し、時系列データにて処理することにより、正確に抽出し、システムの不正アクセス／不正処理、そして異常処理を正確に検出することが可能になる。
【発明を実施するための最良の形態】
【０００９】
実施の形態１
図１は、この発明の実施の形態１によるシステム監査方法を用いたシステム監査装置の構成を示すブロック図である。図２は、この実施の形態１の動作フロー図である。図１では、この実施の形態１を実施するためのネットワークを介して個人情報を共有し、その閲覧、更新を行なう情報処理システムの基本構成図である。
【００１０】
この実施の形態１において、システム動作に関する取得可能な単位をイベントと定義する（以下、他の実施の形態も同様）。このイベントからシステム運用、計算機処理から不正操作、異常処理に繋がる少なくとも一つ（以下同様）の特定のイベントを設定し、そのイベントの発生をトリガとして、イベントの時系列情報を生成し不正を自動的に検出する。
【００１１】
この実施の形態１は、ネットワークに接続され、共通のデータの処理を行なう複数の計算機８と、この計算機８の操作を監査するためのシステム監査装置１、計算機８で発生したイベント、例えば、データのプリンタへの印刷出力やフレキシブルディスクなどの記憶媒体へのデータコピーなどのイベントを、システム監査装置１に送信するイベント送信機能９を保有する。
このシステム監査装置１は、システム内の計算機８で発生したイベントを登録する登録機能２と、データベース３と、データベース３に登録されたイベントを検索する検索機能４と、逐次発生したイベントの登録状況から特定のイベント発生を監査する監査機能５と、特定のイベントの発生をトリガとして、そのイベントが発生した計算機を特定し、発生時前後のイベントについてデータベース３を検索し、時系列情報を生成する時系列情報生成機能６と、予め想定した不正操作、不正処理および異常処理のパターンと時系列情報を照合することにより、不正を判断する不正分析機能７とから構成される。
【００１２】
この実施の形態１では、ネットワークに複数の計算機／PCまたはワークステーションが接続されたシステム構成を想定する。計算機８は、計算機内の処理履歴を記録できること、またはそのような機能を組み込む。ここで、記録された一つの履歴をイベントと定義し、イベントに記録される情報には、実行計算機名、実行日時、操作員名等の操作員情報、処理内容とする。
【００１３】
イベント、及び特定イベントの取得方法は、計算機ＯＳの機能を活用する。ＵＮＩＸ（登録商標）などのＯＳでは、ログインや外部媒体への出力実行時に固有の履歴をログファイルに残す。計算機８には、ログファイルから新規データ記録を抽出するイベント抽出機能１０を常駐プログラムとして起動し、ログファイルが更新されるとき、追加されたデータを取得し、イベント送信機能にシステム監査装置１に送信の指示を出力する（Ｓ０１）。
【００１４】
計算機８で発生したイベントは、イベント送信機能９によりネットワークを介して、システム監査装置１に送信される（Ｓ０２）。このとき、イベント送信機能９は、ネットワークやシステム監査装置１の負荷に応じて、発生したイベントの情報の送信タイミングを変更することを可能とする。
例えば、他の計算機８が使用されていない場合は、イベント発生毎に、システム監査装置１にイベントを送信するが、システム監査装置１からの受信処理の返値の時間を測定し、時間の閾値を超えた場合、複数のイベント発生後に、まとめて送信するように切り替える。このように、送信のタイミングをずらすことにより、システム監査装置１へ一斉にデータを送信することなく、システム監査装置１の負荷集中を避けることも可能である。
【００１５】
システム監査装置１は、イベント受信のため、常時、待機している（Ｓ０３）。計算機８からのイベント情報を受信した時（Ｓ０４）、イベント情報は登録機能２により、データベース３に登録される（Ｓ０５）。同時に、監査機能５にて、特定イベントの判定を行なう（Ｓ０６）。特定イベントは、システムの運用、計算機の処理内容により、システム設計時に監査員またはシステムの運用責任者により事前に設定される。特定イベントとして、計算機８へのログイン、指定した領域に保存されたデータのアクセス、データの印刷、フレキシブルディスク等の外部記憶装置へのデータのコピーなどの操作を設定する。
【００１６】
例えば、機密性の高いデータのデータ流出、改ざんを防ぐためには、特定イベントに「機密データ保存場所へのアクセス」を特定イベントとして指定する。監査機能５では、受信したイベント情報から処理内容を抽出し、特定イベントの内容と一致するかを判定する。
また、特定イベントには、イベント内容のほかに、指定した操作員の操作、指定時間内に発生したイベントなども設定できるものとする。
これにより、勤務時間外のログイン、ファイル操作など不正操作の可能性を監査することが可能になる。判定結果、受信イベントが特定イベントの場合、監査機能５から時系列情報生成機能６にイベントの情報を送信する。
【００１７】
時系列情報生成機能６は、イベントに記述されている情報から、各情報について特定イベントの発生時間より以前のイベントについて、検索機能4を用いてデータベース３を検索する（Ｓ０７）。検索するイベント数は、監査員が時系列情報生成機能６に設定する。時系列情報生成機能６は、検索機能４の検索結果を受け取り、各情報についてイベントの時系列データを生成し、不正分析機能７に送信する（Ｓ０８）。
【００１８】
不正分析機能７では、時系列情報生成機能６で生成した時系列データを受け取り、事前に設定した不正パターンとの照合を行なう（Ｓ０９）。不正パターンとは、監査員により事前に設定した不正行為実行と考えられるイベントの組合せである。
例えば、機密性の高いデータの取得のイベントパターンとして、「機密データ保存場所へのアクセス」→「データ読込み」→「印刷」または「外部記録装置への記録」を設定する。不正分析機能７では、受信した時系列データ内に不正パターンの有無を調べる。不正と判定した場合、その結果を不正のもとになった特定イベントと時系列データ、そして不正パターンを監査員に提示する（Ｓ１０）。
【００１９】
この実施の形態によれば、発生イベントのみではなく、時系列のイベントとして自動的に評価し、監査員に提示することが可能になり、大量のデータ中にある、個々のイベントだけでは検出しにくい不正を時系列データにて処理することにより、正確に抽出し、システムの不正アクセス、不正処理、そして異常処理を正確に検出することが可能になる。
【００２０】
実施の形態２．
図３は、この発明の実施の形態２によるシステム監視装置および計算機の構成を示すブロック図である。図３において、１１は、システム監査装置１内の監査機能５と同様に、計算機８内で発生したイベントについて、特定イベントの発生を監査するイベント監査機能である。
【００２１】
計算機８で発生したイベントは、イベント抽出機能１０において、システムログからイベント情報として抽出され、イベント監査機能１１に送信される。イベント監査機能１１では、受信したイベントが特定イベントであるかを判定し、特定イベントが発生するまで内部に情報を保存する。特定イベントが発生した場合、イベント監査機能１１は前回、保存しているイベント情報全てをシステム監査装置１に送信するために、イベント送信機能９に命令し、保持しているデータを消去する。イベント送信機能９は、命令に従い、複数のイベント情報をシステム監査装置１に送信する。イベントデータが送信された後は、実施の形態１と同様に不正判定を実行する。
【００２２】
この実施の形態によれば、特定イベントが発生した時点で、計算機８からシステム監査装置１にイベント情報を送信することにより、計算機８の送信処理の負荷を軽減することが可能になり、同時にシステムを構成するネットワーク全体の負荷を軽減することできると共に、システム全体のパフォーマンスを落とすことなく、操作監査を行なうことが可能になる。
【００２３】
実施の形態３.
図４は、この発明の実施の形態３によるシステム監査方法を用いたシステム監査装置の構成を示すブロック図である。図４において、１２は、不正分析機能０７の結果を入力として、その不正の危険度を判定、監査員に提示する危険度判定機能、１３は、不正分析機能０７の結果を不正データとして登録し、監査員の操作に応じて過去の不正事例を提示する不正事例管理機能であり、１４は不正事例管理機能１３に対する不正事例データベースである。
【００２４】
この実施の形態は、実施の形態１と同様に、計算機８で発生したイベントについて不正分析機能０７にて不正判定を行う。ここで、生成した不正結果は、危険度判定機能１２において、その不正結果の危険度を判定する（Ｓ１１）。危険度判定機能１２は、不正内容について危険度を段階的に設定し、発生した不正について、危険度を選択、計算する。
危険度は、操作処理の種別、操作対象、操作状況から構成される。操作処理種別には、ログイン失敗、ファイルアクセス、印刷、媒体出力、プログラムの異常終了、シャットダウン、リブートなど、操作対象にはファイル種別、操作状況には、実行時間、操作員の職務、連続操作時の回数を設定する。設定項目には点数を割り当て、各点数を乗算することにより不正イベントの危険度を算出する。更に、算出式、点数、算出結果を監査員に提示する。
【００２５】
不正事例管理機能１３は、不正分析機能０７の不正判定結果を受け取り、不正事例データベース１４に登録する（Ｓ１２）。また、監査員の要求に従い、不正事例管理機能１３は不正事例データベース１４内の過去の不正事例を検索し（Ｓ１３）、その結果を監査員に提示する。
【００２６】
この実施の形態によれば、システム監査装置０１にて検出した不正イベントについて、自動的に危険度を算出することにより、システムの状況を把握することができ、また未知の不正イベントについても、その危険度を認識することが可能になる。また、過去の不正事例を検索できることにより、特定の操作員の行動調査や、計算機の稼動状況を把握することが可能になる。
【図面の簡単な説明】
【００２７】
【図１】本発明の実施の形態１に関するシステム監査方法を用いたシステム監査装置を含む全体構成を示すブロック図である。
【図２】本発明の実施の形態１に関するイベントを発生する計算機とシステム監査装置の動作フロー図である。
【図３】本発明の実施の形態２に関するイベントを発生する計算機にイベント監査機能を追加した全体構成を示すブロック図である。
【図４】本発明の実施の形態３に関するシステム監査方法を用いたシステム監査装置に、危険度判定機能、不正事例管理機能、不正事例データベースを追加した全体構成を示すブロック図である。
【図５】本発明の実施の形態３のイベントを発生する計算機とシステム監査装置の動作フロー図である。
【符号の説明】
【００２８】
１  システム監査装置、２  登録機能、３          データベース、４  検索機能。５  監査機能、６      時系列情報生成機能、７  不正分析機能、８  システム内の計算機、９  イベント送信機能、１０            イベント抽出機能、１１  イベント監査機能、１２        危険度判定機能、１３  不正事例管理機能、１４  不正事例データベース。
【図１】
2005222216.tif 000003
【図２】
2005222216.tif 000004
【図３】
2005222216.tif 000005
【図４】
2005222216.tif 000006
【図５】
2005222216.tif 000007